Mail Header Analyzer — Beispiele

Zurück zur Übersicht: Mail Header Analyzer · Tool live öffnen: www.jpkc.com/tools/mail-header/

Diese Seite zeigt den Mail Header Analyzer an konkreten Durchläufen. Wie die einzelnen Funktionen genau arbeiten, steht im Manual — hier geht es um typische Aufgaben aus der Praxis.

Beispiel 1: Den Beispiel-Header durchspielen

Ziel: das Tool kennenlernen, ohne eine eigene Mail zur Hand zu haben.

Im Parse-Tab auf Example klicken. Das Textfeld füllt sich mit einem realistischen Header, und die Analyse startet sofort.

Ergebnis: Das Tool springt in die Overview und schaltet die vier Auswertungs-Tabs frei. Die Karte Findings meldet mit grünem Haken, dass nichts auffällt. In der Summary siehst du den dekodierten Absender Jörg Müller <newsletter@example.com>, als Sending server 198.51.100.42 mit dem Badge Documentation (TEST-NET-2) (eine Beispiel-Adresse), drei grüne Badges SPF/DKIM/DMARC pass „by mx.google.com", das SpamAssassin-Urteil ham und vier Hops in 1m 54s. Der Betreff erscheint in Key fields als „Quartalsbericht Q1 – Grüße aus Köln", obwohl er in der Mail Base64-kodiert steht. Von hier aus kannst du dich durch Route, Security und All Headers klicken und sehen, wie eine sauber zugestellte Mail aussieht — die ideale Vergleichsbasis für echte Fälle.

Beispiel 2: Eigene Header aus Gmail analysieren

Ziel: einer konkret erhaltenen Mail auf den Grund gehen.

In Gmail die Mail öffnen → More (Drei-Punkte-Menü) → Show original.
Den Text kopieren und in das Textfeld des Parse-Tabs einfügen. Ob du nur den Header-Block oder die ganze Nachricht erwischst, ist egal — gelesen wird nur der Header-Abschnitt bis zur ersten Leerzeile.
Analyze klicken (oder Strg+Enter).

Ergebnis: Die Overview zeigt Befunde, Zusammenfassung und die zentralen Felder. Hast du die ganze Nachricht eingefügt, steht unter den Befunden ein violetter Hinweis, dass der Body ignoriert wurde. Über das Kopier-Symbol neben einem Wert legst du etwa die Message-ID direkt in die Zwischenablage — praktisch, wenn du sie für eine Support-Anfrage oder eine Log-Suche brauchst. Kommt ein Feld mehrfach vor, listet Key fields jedes Vorkommen, und die Befunde warnen, wenn es eines der Felder ist, die nur einmal vorkommen dürfen.

Beispiel 3: Den Zustellweg lesen und einen Stau finden

Ziel: verstehen, warum eine Mail erst Stunden später ankam.

Header einfügen und Analyze klicken.
In den Route-Tab wechseln.

Ergebnis: Die Zeitachse beginnt mit Written (dem Date-Feld) und führt vom grünen ersten Hop zum blauen letzten. Zwischen zwei Hops steht die Wartezeit, im Beispiel-Header etwa „waited 1m 52s at mail-gw.example.com". Eine rot eingefärbte Lücke (ab 5 Minuten) verrät sofort, wo es klemmte — oft Greylisting oder eine volle Queue. Unten nennt die Zusammenfassung die Gesamt-Laufzeit und die längste Wartezeit samt Server. Achte auf die TLS-Markierung pro Hop: Ein orangefarbenes „no TLS recorded" zeigt eine Teilstrecke von einer nicht internen Adresse, für die keine Verschlüsselung notiert ist. Steht statt einer Wartezeit ein Clock skew, gehen die Uhren der Server auseinander — die echte Wartezeit lässt sich dann nicht bestimmen.

Beispiel 4: SPF, DKIM und DMARC prüfen

Ziel: feststellen, ob sich eine Mail authentifizieren konnte.

Header einfügen, Analyze, in den Security-Tab wechseln.

Ergebnis: Für jedes Authentication-Results-Feld gibt es eine eigene Karte. Maßgeblich ist die mit dem grünen Badge „topmost — from your provider": Grünes pass bei spf, dkim und dmarc ist der Idealfall. Ein softfail oder fail bei SPF deutet auf eine nicht autorisierte Sende-IP, ein fail bei DKIM auf eine gebrochene Signatur (oder eine unterwegs veränderte Mail). Die Spalte Details zeigt, gegen welche Domain geprüft wurde (smtp.mailfrom=, header.from=, header.d=). Karten mit dem orangefarbenen Badge „added on the way — can be forged" sind Beiwerk: Ein pass dort beweist nichts. In der Tabelle DKIM signatures siehst du, welche Domain signiert hat und ob sie zum Absender passt (Matches From). Fehlt das Feld ganz, meldet ein Hinweis, dass der empfangende Server keine Prüfung notiert hat — typisch für interne oder sehr alte Nachrichten.

Beispiel 5: Eine `.eml`-Datei hochladen

Ziel: eine als Datei gespeicherte Mail analysieren, ohne Header herauszukopieren.

Im Parse-Tab auf Upload klicken und eine .eml- oder .txt-Datei (bis 25 MB) wählen — oder die Datei direkt auf das Textfeld ziehen.
Das war es bereits.

Ergebnis: Das Tool liest die Datei lokal, übernimmt nur den Header-Abschnitt ins Textfeld und meldet „Read the header section of …" — mit „(body left out)", wenn es einen Body abgeschnitten hat. Danach landest du direkt in der Overview. Die Datei wird dabei nicht hochgeladen — alles passiert im Browser. Eine Outlook-.msg-Datei lehnt das Tool ab und erklärt, wie du die Header stattdessen über File → Properties in Outlook kopierst.

Beispiel 6: Den Spam-Score deuten

Ziel: nachvollziehen, ob ein Spam-Filter angeschlagen hat.

Header einer Mail einfügen, die durch einen Spam-Filter lief, Analyze, Security-Tab.

Ergebnis: Die Karte Spam filters listet jeden erkannten Wert mit Filter, Feld, Wert und Urteil. Beim Beispiel-Header sind das drei SpamAssassin-Zeilen: Status No, score=-2.1 required=5.0 mit dem Urteil ham, Tests mit den ausgelösten Regeln (BAYES_00, DKIM_SIGNED, …) und Score -2.1. Ein negativer Score ist also ein gutes Zeichen; entscheidend ist der Abstand zur Schwelle required=. Bei Rspamd stehen Score und Schwelle in einer Zeile (etwa -1.20 / 15.00), bei Microsoft die SCL (ab 5 spam), das Filter-Urteil SFV und der Massenmail-Wert BCL (ab 7 bulk). Die Urteile tauchen zusätzlich als Badges in der Overview auf. Fehlen alle Spam-Header, steht „No SpamAssassin, Rspamd or Microsoft spam fields found." — dann hat der Empfangsserver entweder nichts geprüft oder die Ergebnisse nicht in die Header geschrieben.

Beispiel 7: Header durchsuchen, kopieren, sichern

Ziel: einen bestimmten Header finden und die Rohdaten weiterreichen.

Nach der Analyse in den All-Headers-Tab wechseln.
Ins Suchfeld z. B. received tippen — die Tabelle zeigt nur noch passende Zeilen.
Bei Bedarf Show raw values (encoded words not decoded) einschalten, um Betreff und Namen in ihrer kodierten Originalform zu sehen.
Einen einzelnen Wert über sein Kopier-Symbol entnehmen, Copy All für den kompletten Header-Abschnitt klicken oder mit Download die Datei email-headers.txt speichern.

Ergebnis: Du hast die Header griffbereit — etwa um sie an einen Hoster weiterzugeben oder in ein Ticket zu hängen. Copy All und Download enthalten nur den Header-Abschnitt, auch wenn du ursprünglich die ganze Nachricht eingefügt hast.

Beispiel 8: Eine verdächtige Mail auf Phishing-Hinweise prüfen

Ziel: herausfinden, ob eine angebliche Bank-Mail echt sein kann. Angenommen, der Header sieht so aus (Adressen auf Beispiel-Domains):

Received: from mail.bank-secure.example.net (mail.bank-secure.example.net [203.0.113.7])
        by mx.example.org with ESMTPS id 4Xyz12;
        Thu, 15 Oct 2026 09:12:40 +0200
Authentication-Results: mx.example.org;
       spf=pass smtp.mailfrom=bank-secure.example.net;
       dkim=pass header.d=bank-secure.example.net;
       dmarc=pass header.from=bank-secure.example.net
Authentication-Results: mx.example-bank.com; dkim=pass header.d=example-bank.com; dmarc=pass
DKIM-Signature: v=1; a=rsa-sha256; d=bank-secure.example.net; s=s1;
        h=from:to:subject:date; bh=abc=; b=def
From: "service@example-bank.com" <alert@bank-secure.example.net>
Reply-To: verify@payments.example
To: you@example.org
Subject: =?UTF-8?Q?Ihr_Konto_wurde_gesperrt?=
Date: Thu, 15 Oct 2026 09:12:38 +0200

Den Header einfügen und Analyze klicken.
Die Karte Findings in der Overview lesen, danach den Security-Tab öffnen.

Ergebnis: Obwohl SPF, DKIM und DMARC laut deinem Provider bestanden sind, meldet das Tool drei orangefarbene Warnungen: Der Anzeigename enthält service@example-bank.com, die Mail kommt aber von alert@bank-secure.example.net — ein klassischer Phishing-Trick. Reply-To zeigt auf eine ganz andere Domain, Antworten landen also woanders. Und eine Message-ID fehlt. Ein violetter Hinweis ergänzt, dass es zwei Authentication-Results-Felder gibt und nur das oberste von deinem Provider stammt. Im Security-Tab trägt das zweite Feld (mx.example-bank.com) das orangefarbene Badge „added on the way — can be forged" — sein pass für die echte Bank-Domain hat der Absender selbst hineingeschrieben. Das Fazit: Die Authentifizierung belegt nur, dass bank-secure.example.net die Mail verschickt hat, nicht, dass dahinter deine Bank steht.

Beispiel 9: Header merken und wieder vergessen

Ziel: mehrere Mails im Wechsel vergleichen, ohne sie jedes Mal neu einzufügen.

Im Parse-Tab den Schalter Remember analysed headers in this browser einschalten.
Nacheinander zwei oder drei Mails analysieren.
Über das Dropdown Recent zwischen ihnen wechseln — die Einträge tragen den dekodierten Betreff, ein Klick lädt und analysiert erneut.
Zum Schluss Forget klicken oder den Schalter ausschalten.

Ergebnis: Solange der Schalter an ist, hält das Tool bis zu zehn Header-Abschnitte im localStorage deines Browsers bereit — nie einen Body, nie auf einem Server. Forget oder das Ausschalten löscht sie vollständig; danach verschwindet auch das Recent-Dropdown.

Mehr zu den einzelnen Funktionen steht im Manual, strategische Hinweise und Stolperfallen in den Tipps & Tricks. Direkt loslegen kannst du im Tool.